Dünya çapında milyonlarca internet sitesinin ve çevrim içi uygulamanın altyapısını oluşturan PHP yazılımında kritik güvenlik zafiyetlerinin belirlenmesi, Türkiye'yi harekete geçirdi. Kamu kurumları ile özel sektör kuruluşlarına yönelik ulusal güvenlik taramalarını devreye alan Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, sistem yöneticilerinden gecikmeden gerekli tedbirleri almalarını istedi.
Avrupa'daki bazı kamu kurumlarının ise önlem olarak internet sitelerinin faaliyetlerini geçici süreyle durdurduğu bilgisi paylaşıldı.
İNTERNET ALTYAPISINDA KRİTİK GÜVENLİK ZAFİYETİ
İnternet sitelerinin ve kurumsal uygulamaların geliştirilmesi için sıklıkla tercih edilen PHP altyapısında ortaya çıkarılan güvenlik açıkları, dünya çapında siber güvenliğe ilişkin kaygıları artırdı. "PHP2Shell" adı verilen güvenlik zafiyetlerinin, bazı koşullar oluştuğunda saldırganlara kullanıcı adı ya da şifre kullanmaksızın uzaktan zararlı kod çalıştırma imkânı verebildiği ifade edildi.
Özellikle internet üzerinden erişilebilen sistemlerde bu durumun, izinsiz erişim sağlanması, verilerin güvenliğinin ihlal edilmesi ve dijital hizmetlerin kesilmesi gibi ağır sonuçlara neden olabileceği değerlendiriliyor.
TÜRKİYE GENELİNDE ULUSAL GÜVENLİK TARAMASI DEVREDE
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, bu risklere karşı ülke çapında önleyici nitelikte güvenlik faaliyetlerini uygulamaya koydu. Başta kamu kurumları olmak üzere kritik altyapılarda ve ilgili bilişim sistemlerinde güvenlik tarama süreçleri başlatıldı. Yürütülen faaliyetlerle muhtemel saldırı teşebbüslerinin erken safhada belirlenmesinin ve güvenlik zafiyetlerinden kaynaklanabilecek zararların mümkün olan en düşük düzeye indirilmesinin hedeflendiği duyuruldu.
BÜTÜN KURUMLARA ACİL GÜVENLİK BİLDİRİMİ
Siber Güvenlik Başkanlığı tarafından, Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu aracılığıyla kamu kurumları, özel sektör kuruluşları ve kritik altyapı işletmecilerine acil bir güvenlik bildirimi gönderildi. Bildirimde sistem yöneticilerine, internetten erişilebilen bilişim altyapılarını gecikmeksizin denetlemeleri ve kullanıma sunulan güvenlik güncellemelerini sistemlerine uygulamaları çağrısı yapıldı.
Bunun yanında, gereksinim olmayan dış bağlantılara kısıtlama getirilmesi, izinsiz erişimin önüne geçecek önlemlerin güçlendirilmesi ve gerekli servislerde ilave güvenlik tedbirlerinin uygulanması gerektiğinin altı çizildi.
AVRUPA'DA KAMU İNTERNET SİTELERİ ERİŞİME KAPATILDI PHP
altyapısındaki iki kritik güvenlik zafiyetinin ortaya çıkarılması üzerine ABD, Avrupa Birliği, İngiltere, Japonya ve Avustralya'da faaliyet gösteren siber güvenlik kurumları da adım attı. Bu kurumlar, internet sitelerinin yöneticilerine sistem güncellemelerini ivedilikle gerçekleştirmeleri çağrısını yöneltti. Aralarında Fransa, Hollanda, Almanya, Finlandiya ve Belçika'nın bulunduğu Avrupa ülkelerinde birçok kamu kurumunun, güvenlik tedbiri kapsamında internet sitelerine erişimi geçici süreliğine durdurduğu aktarıldı.
Alınan bu tedbirlerle, güvenlik zafiyetlerini kullanarak yapılabilecek saldırıların önünün kesilmesinin hedeflendiği kaydedildi.
SİSTEMLERE ŞİFRESİZ ERİŞİM TEHLİKESİ
Uzmanlara göre öne çıkan en büyük risk, saldırganların belirli şartlarda kimlik doğrulama süreçlerini atlatıp hedef aldıkları sistemlerde uzaktan kod çalıştırma olanağı bulması. Bu tür bir saldırının başarıya ulaşması hâlinde internet sitelerinin yönetiminin ele alınması, hassas verilerin ifşa olması ya da çevrim içi hizmetlerin işlemez hâle getirilmesi gibi sonuçlarla karşılaşılabiliyor.
Bununla birlikte, söz konusu güvenlik zafiyetinin varlığı, PHP altyapısından yararlanan tüm internet sitelerinin doğrudan tehdit altında bulunduğunu göstermiyor. Tehlikenin düzeyi, kullanımda olan yazılımın sürümü ile sistem yapılandırmasına bağlı olarak farklılık gösteriyor.
SİBER GÜVENLİK BAŞKANLIĞINDAN ÖNEMLİ UYARI
Türkiye'nin dijital altyapısının korunması ve kritik hizmetlerin kesintiye uğramadan devam etmesi için gelişmelerin yakından izlendiği, Cumhurbaşkanlığı Siber Güvenlik Başkanlığı tarafından duyuruldu. Önleyici faaliyetlerin ulusal siber güvenlik birimleriyle eşgüdüm hâlinde devam ettiği aktarılırken, kurum ve kuruluşlara yayımlanan resmî güvenlik bildiriminde yer alan teknik ve idari önlemleri vakit kaybetmeden yerine getirmeleri çağrısında bulunuldu.
